O Banco Central dos Emirados Árabes Unidos estabeleceu um prazo firme: até 31 de março de 2026, todos os bancos e instituições financeiras devem encerrar o uso de senhas únicas enviadas por SMS e e-mail.
A mudança transfere a responsabilidade por fraudes para bancos e instituições financeiras. Se um código for interceptado ou compartilhado durante um ataque, a instituição será responsável por cobrir o prejuízo.
Se você for um banco, seguradora, provedor de pagamentos ou casa de câmbio, precisará substituir os OTPs por autenticação resistente a phishing e criar sistemas para detecção de fraude em tempo real e prevenção de tomada de contas.
Neste artigo, explicamos o que o novo mandato significa e o que os bancos dos Emirados Árabes Unidos precisam fazer para se preparar.
O que é o Aviso CBUAE 2025/3057
Em maio de 2025, o Banco Central dos Emirados Árabes Unidos emitiu o Aviso 2025/3057, orientando todos os bancos e instituições financeiras licenciados nos EAU que atendem consumidores a eliminar gradualmente as senhas únicas (OTPs) enviadas por SMS e e‑mail e as senhas estáticas usadas para autenticação de clientes.
A regra exige que as instituições abandonem esses controles legados e adotem métodos de autenticação baseados em risco que verifiquem, em tempo real, tanto o cliente quanto o seu dispositivo. Isso representa uma mudança de credenciais de fator único para uma garantia de identidade contínua e orientada por inteligência.
O Banco Central introduziu esse mandato em resposta ao aumento das perdas por fraude ligadas à interceptação de OTP, troca de SIM, phishing e ataques de acesso remoto. Os OTPs agora são considerados inseguros porque dependem de canais de comunicação abertos e não estão criptograficamente vinculados ao usuário ou à sessão. Uma vez que um fraudador obtém ou reutiliza um código, ele pode contornar todos os controles subsequentes, transformando efetivamente o OTP em um ponto único de falha.
A responsabilidade por fraudes com OTP agora recai sobre as instituições financeiras
De acordo com o novo mandato, bancos e instituições financeiras passam a ser totalmente responsáveis por fraudes relacionadas à autenticação baseada em OTPSe a senha de uso único de um cliente for interceptada ou compartilhada durante um ataque de phishing ou de troca de SIM, a instituição deverá reembolsar o cliente pelo prejuízo.
Embora o prazo final para conformidade total seja 31 de março de 2026, a mudança de responsabilidade já está em vigor para transações 3D Secure. As equipes de risco devem tratar o OTP por SMS e e-mail como um controle obsoleto e acelerar a migração para autenticação resistente a phishing, vinculada ao dispositivo e à sessão. Adiar a substituição agora gera não apenas risco de conformidade, mas também exposição financeira direta.
Como se preparar para o Aviso 2025/3057 do CBUAE
Para cumprir o Aviso 3057, os bancos precisam substituir os OTPs por uma autenticação mais forte, implementar detecção de fraude em tempo real e manter total rastreabilidade de cada decisão.
1. Implementar autenticação resistente a phishing
Substitua os OTPs enviados por SMS e e-mail por métodos criptograficamente vinculados ao usuário e ao seu dispositivo. O Banco Central reconhece as seguintes opções como compatíveis:
- Passkeys (FIDO2): Credenciais vinculadas ao dispositivo que não podem ser interceptadas ou reutilizadas
- Autenticação no aplicativo: Aprovações por push e confirmações de transações no aplicativo móvel da instituição
- Biometria: Verificação por impressão digital ou reconhecimento facial usando sensores seguros no dispositivo
- Tokens de hardware ou software: Tokens criptográficos para ações de alto risco e aprovações de transações
Recomendamos começar com o 3D Secure e as aprovações de pagamento, onde fraude com OTP causa os maiores impactos e as perdas são imediatas. Em seguida, estenda esses controles para a recuperação de conta e a vinculação de dispositivos, que se tornam os próximos elos mais fracos depois que os OTPs são removidos.
Por fim, ajuste seus fluxos de autenticação step-up com base no contexto real do negócio, como novos beneficiários, transações de alto valor e alterações de beneficiários. Use pontuações de risco em tempo real em vez de gatilhos binários, para que usuários confiáveis permaneçam sem fricção enquanto sessões arriscadas sejam automaticamente submetidas a verificações adicionais.
2. Implemente detecção de fraude em tempo real
O comunicado também exige que os bancos mantenham sistemas de detecção de fraude em tempo real que analisem todas as transações e bloqueiem ou questionem automaticamente atividades suspeitas antes que sejam autorizadas.
Sinais de dispositivo e comportamentais são fundamentais para que isso funcione. Juntos, os biomarcadores de comportamento no setor bancário permitem que as instituições detectem anomalias em tempo real e identifiquem os primeiros sinais de tomada de conta de contas, como dispositivos novos ou comprometidos, ferramentas de acesso remoto ou padrões de interação incomuns. Esses mesmos sinais podem revelar engenharia social ou coerção que, de outra forma, passariam nas verificações de autenticação.
Cada transação deve ser pontuada usando uma combinação de dados de dispositivo, localização e comportamento, como parte de uma autenticação contínua, identificando desvios em relação ao padrão normal do cliente. Isso significa entender como, onde e de qual dispositivo o usuário normalmente faz login ou realiza transações, e sinalizar comportamentos que fujam desse perfil. Construir esse contexto ao longo de várias sessões dá ao sistema a inteligência necessária para impedir fraudes antes que os fundos sejam movimentados.
3. Suspender sessões ativas sob ataque
A detecção em tempo real só funciona se puder agir dentro de uma sessão ativa. A nova diretriz espera que os bancos contenham tomadas de conta em andamento suspendendo automaticamente as sessões quando surgirem sinais de comprometimento.
É aqui que sinais de zero-day são importantes. Os fraudadores mudam constantemente de ferramentas e táticas, por isso os sistemas precisam detectar ameaças novas e desconhecidas em tempo real, mesmo sem histórico prévio do usuário ou treinamento do modelo. Indicadores como compartilhamento de tela, software de acesso remoto ou atividade de malware sugerem que o dispositivo do cliente não está mais sob seu controle.
Crie uma lógica de resposta que reaja imediatamente a esses sinais. Quando o dispositivo ou a sessão apresentar indícios de controle externo, pause ações sensíveis, bloqueie transferências e exija nova verificação antes de retomar. O objetivo é interromper a fraude durante a sessão, não após a liquidação.
4. Mantenha um registro de auditoria para cada decisão
Os bancos devem manter um registro detalhado de como as decisões de autenticação e de fraude são tomadas e aplicadas. Quando os reguladores analisarem a conformidade com o novo mandato, eles esperarão que as instituições demonstrem como o risco é avaliado e como os principais controles são aplicados em tempo real.
Cada evento de autenticação ou transação deve gerar um registro auditável que mostre os sinais de risco considerados, a ação tomada e o resultado. Isso fornece às equipes de risco e conformidade evidências de que os controles estão funcionando conforme o esperado e apoia o ajuste de modelos e a revisão pós-incidente.
Plataformas como a Sardine capturam automaticamente esses eventos e constroem uma trilha de auditoria contínua, para que bancos e instituições financeiras possam demonstrar exatamente como estão atendendo aos requisitos do mandato quando solicitados.
Como a Sardine apoia esta diretiva
Se você agora é responsável por cumprir o Aviso 3057, provavelmente está reconstruindo fluxos de autenticação, repensando a detecção de fraude em tempo real e descobrindo como provar que esses controles estão funcionando. É aí que podemos ajudar.
Na Sardine, fornecemos aos bancos os sinais e a infraestrutura de risco de que precisam para detectar tomadas de controle ativas de contas e manter visibilidade em todas as sessões. Nossa plataforma reúne inteligência de dispositivo, biometria comportamental e autenticação contínua para que você possa cumprir a exigência com controles mais robustos e menos atrito para os clientes.
- Inteligência de dispositivo: Analisamos cada dispositivo em busca de sinais de risco, como troca de SIM, malware, compartilhamento de tela e ferramentas de acesso remoto. Isso permite confirmar se o dispositivo, a rede e o SIM são confiáveis antes que uma transação seja concluída e identificar sessões comprometidas logo no início.
- Biometria comportamental em serviços bancários: Criamos um perfil comportamental para cada cliente com base em como ele digita, desliza e navega naturalmente. Quando esses padrões mudam, podemos sinalizar indícios de coerção, automação ou tentativas de tomada de conta da conta, mesmo quando as credenciais e os dispositivos parecem válidos.
- Autenticação contínua: Monitoramos sinais do dispositivo e comportamentais ao longo de toda a sessão, não apenas no momento do login. Se o risco aumentar durante a sessão, acionamos uma autenticação reforçada ou suspendemos a sessão automaticamente, bloqueando invasores sem prejudicar clientes confiáveis.
- Autenticação escalonada: Oferecemos verificações de risco progressivas que ajudam os bancos a atender ao requisito da norma para uma autenticação adaptativa e baseada em risco. Nosso construtor de fluxos sem código permite que as equipes de risco integrem dados de fraude, conformidade e crédito em um só lugar para criar e ajustar fluxos de autenticação escalonada sem suporte de engenharia.
- Conformidade com 3D Secure: Nós aprimoramos o 3D Secure ao melhorar a forma como os emissores detectam fraudes e aprovam boas transações. Nossos sinais de dispositivo e comportamentais fornecem ao sistema um contexto mais sólido antes da autenticação, permitindo aprovar mais pagamentos legítimos sem introduzir fricção e bloquear aqueles de alto risco antes que sejam concluídos.
Agende uma demonstração para ver como as instituições financeiras dos Emirados Árabes Unidos podem atender aos requisitos do Aviso 3057 com a Sardine.
Perguntas frequentes
O que é o regulamento de proteção contra fraudes do CBUAE?
O Aviso 2025/3057 do CBUAE é a diretiva do Banco Central dos EAU que descontinua o uso de SMS OTP para transações de alto valor, exigindo autenticação resistente a phishing, monitoramento de transações em tempo real e registro de auditoria. Entra em vigor em março de 2026.
Quando a proibição de OTP do CBUAE entra em vigor?
Março de 2026 para transações de varejo de alto valor. Os bancos têm até lá para implementar autenticação resistente a phishing (FIDO2, passkeys, push via aplicativo) e aposentar o SMS OTP do fluxo de transações de alto valor.
O Aviso 2025/3057 do CBUAE cria uma transferência de responsabilidade para o cliente?
O Aviso 2025/3057 coloca sobre o banco o ônus da prova de demonstrar que foi utilizado um fator de autenticação resistente a phishing. Bancos que continuarem a depender de SMS OTP após o prazo assumem o prejuízo em transações contestadas de alto valor.
Quais são as alternativas aprovadas pelo CBUAE ao SMS OTP?
Autenticação resistente a phishing: chaves de segurança FIDO2, passkeys, notificações push em aplicativos com desafio criptográfico, biometria comportamental combinada com inteligência de dispositivo. A diretiva não prescreve um fornecedor específico, mas exige que o método subjacente seja resistente a phishing.
Como a Sardine se encaixa em um programa de conformidade do CBUAE?
A Sardine oferece monitoramento de transações em tempo real, prevenção de tomada de conta de contas, biometria comportamental, sinais do consórcio Sonar e registro de auditoria imutável exigidos pelo Aviso 2025/3057. A plataforma está alinhada ao SR 11-7 e ao NIST AI RMF para a próxima avaliação do GAFI.